N-able выпустила Hotfix 2 для N-central из-за активных атак
N-able выпустила обязательный Hotfix 2 для платформы удалённого мониторинга и управления N-central после выявления атак через CVE-2026-18577 с оценкой CVSS 8,2. Компания сообщила, что уязвимость затрагивает все версии до 2026.3.1.7, а владельцам локальных установок следует немедленно обновиться до версии 2026.3.1.10.
Новый патч заменяет предыдущий
Hotfix 2 нужен и тем организациям, которые уже установили первый экстренный патч. N-able подчёркивает, что новая версия заменяет Hotfix 1 и содержит дополнительные меры усиления защиты на фоне наблюдения за меняющимися техниками атакующих.
Необычную активность в среде одного из клиентов компания обнаружила 31 июля 2026 года. Расследование показало, что неизвестные злоумышленники эксплуатировали уязвимость нулевого дня в сервере N-central.
CVE-2026-18577 представляет собой неполное исправление CVE-2026-18556; обе проблемы имеют оценку CVSS 8,2. Они позволяют обходить аутентификацию и захватывать учётные записи в уязвимых версиях. Агентство CISA пометило обе уязвимости как активно эксплуатируемые.
Как атакующие закреплялись в управляемой среде
В зафиксированных N-able атаках эксплуатация давала удалённый административный доступ к N-central. Затем атакующие использовали функцию Take Control, чтобы подключаться к системам, которыми управлял сервер.
После доступа к устройствам они регистрировали новую службу для Cloudflare Tunnel. Такой механизм позволял сохранить доступ к скомпрометированным системам даже после того, как доступ к серверу N-central был отозван.
N-able подтвердила, что затронуто ограниченное число клиентов. Компания опубликовала расширенный набор IP-адресов как индикаторы компрометации и подготовила пользовательский шаблон службы для автоматической проверки известных индикаторов на Windows-устройствах через N-central.
Что проверить администраторам
Автоматическая проверка индикаторов должна быть только одним из слоёв оценки: отсутствие совпадений не гарантирует, что среда не была затронута. N-able рекомендует сопоставлять её с тщательным изучением окружения, журналов и активности учётных записей.
В контексте уязвимости Cisco и цепочки ClickFix особое внимание стоит уделить признакам сохранения доступа после первоначального проникновения. Для бизнеса приоритетны установка Hotfix 2, обновление локального N-central до 2026.3.1.10 и проверка управляемых Windows-устройств на следы Cloudflare Tunnel и опубликованные индикаторы.